Cómo trabajar con Kerberos

Ahora que has visto unos pocos elementos que usa Kerberos, aquí tienes una explicación de cómo trabajar con un sistema de autentificación Kerberos:

En una red "normal" que usa passwords para autentificar usuarios, cuando un usuario demanda un servicio de la red que requiere autentificación, el usuario tiene que teclear su passaword. Su password es trasmitida en texto plano en la red, y se concede un acceso a un servicio de la red.

El principal problema para Kerberos es como usar el password para autentificar sin mandarlo sobre la red. En una red Kerberizada, la base de datos de Kerberos contiene su claves (para los usuarios, sus claves derivan de sus password). La base de datos Kerberos también contiene claves para todos los servicios de la red.

Cuando un usuario en una red kerberizada en su estación de trabajo, se envía al KDC como una demanda para un TGT. Esta demanda puede ser mandada a un programa login (para que sea transparente al usuario) o puede ser mandada a el programa kinit.

El KDC verifica el principal en su base de datos. Si el principal es encontrado, el KDC crea un TGT, los encripta usando las claves del usuario y los manda de vuelta al usuario.

El programa login o kinit desencripta el TGP usando las claves del usuario. El TGT, que caduca después de un cierto periodo de tiempo, es almacenado en su cache de credenciales. Sólo se puede usar un cierto periodo de tiempo que suele ser de ocho horas. El usuario no tiene que introducir su password otra vez hasta que caduca o se desconecta y vuelve a conectarse.

Cuando el usuario necesita acceder a un servicio de red, el TGT demanda un ticket para el servicio desde Ticket Granting Service (TGS), que se ejecuta en el KDC. El TGS emite un ticket por el servicio deseado, que es usado como autentificación de usuario.

Como podría haber supuesto la explicación es demasiado simplificada. Si necesita más información vea la sección de nombre Información fuente acerca de Kerberos.

nota

Kerberos depende de ciertos servicios de la red para trabajar correctamente. Primero, Kerberos necesia una sicronización de reloj entre los ordenadores y su red. Si no tienen un programa de sincronización de reloj para su red, necesita tener uno. Debe de asegurarse que las entradas DNS y de los hosts en su red son correctas. Vea Kerberos V5 System Administrator's Guide, proporcionados en formatos PostScript y HTML, en /usr/share/doc/krb5-server-versionnumber/,